Archivierte Fassung 2026-10 (Stand Oktober 2026), unverändert aufbewahrt zum Nachweis. Die aktuell gültige Fassung steht unter kraltec.de/avv.
Auftragsverarbeitung (AVV)
Vereinbarung gem. Art. 28 DSGVO · Bestandteil des Nutzungsvertrags · Stand: Oktober 2026
1. Parteien
Verantwortlicher: der registrierte Betrieb (Kunde). Auftragsverarbeiter: Brinn Computer, Inhaberin Amine Bassiouni, Ricklinger Stadtweg 13, 30459 Hannover („Anbieter").
2. Gegenstand und Zweck
Bereitstellung der SaaS-Plattform „Kraltec". Verarbeitet werden die vom Kunden eingegebenen personenbezogenen Daten (Kunden-, Kontakt-, Beleg-, Projekt-, Kommunikations-, Arbeitszeit- und Fotodaten) ausschließlich zur Vertragserfüllung und nach Weisung des Kunden.
3. Technische und organisatorische Maßnahmen (Art. 32)
U. a.: Mandantentrennung auf Datenbank-Ebene (Row-Level-Security), TLS-Transportverschlüsselung, Verschlüsselung sensibler Felder (AES-256-GCM), rollenbasierte Zugriffskontrolle mit Zwei-Faktor-Option, Audit-Protokollierung, tägliche Backups mit regelmäßigen Wiederherstellungstests, Hosting in Deutschland.
4. Unterauftragsverarbeiter
Der Kunde genehmigt den Einsatz folgender Unterauftragsverarbeiter (Information vor Änderungen, Widerspruchsrecht):
- Rechenzentrumsbetreiber — Infrastruktur-Hosting, Serverstandort Deutschland
- E-Mail-Dienstleister — Versand der E-Mails aus der Anwendung (Belege, Mahnungen, Einladungen, Systemnachrichten), Serverstandort Deutschland
- Microsoft Ireland Operations Ltd. — nur bei vom Kunden aktivierter Microsoft-365-Postfach-Anbindung, EU
- OpenAI (OpenAI-API, Modell gpt-4o-mini) — KI-Funktionen: KI-Angebot (Arbeitsbeschreibung + Katalogdaten), Beleg-Scan (hochgeladener Eingangsbeleg), Sprachaufmaß/Zeit-Diktat (nur im Rückfall, wenn die Erkennung auf dem Gerät nicht möglich ist) sowie KI-Betriebsassistent — Letzterer ausschließlich nach Opt-in des Kunden in den Einstellungen; erst dann werden Betriebsdaten (Kundennamen, Beträge, Termine) zur Beantwortung übermittelt. Nach unserer Kenntnis keine Nutzung zum Training gemäß den API-Bedingungen von OpenAI; Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln (USA); EU-Datenresidenz, sofern für unser Konto aktiviert. Es gilt das Data Processing Addendum von OpenAI.
- Open-Meteo GmbH — Wettervorschau am Projekt; übermittelt werden nur Postleitzahl/Ort, keine personenbezogenen Daten (Schweiz / EU)
- Haufe-Lexware GmbH & Co. KG (Lexware Office) — nur nach Verbindung durch den Kunden mit eigenem API-Schlüssel; Übertragung von Belegen und Kontakten in das Lexware-Konto des Kunden (Deutschland)
- Telnyx / LiveKit (Telefonie, Sprach-Empfang) — geplant, derzeit nicht aktiv; Aufnahme erst nach vorheriger Information und Aktualisierung dieser Liste
Name und Anschrift der hier als Kategorie genannten Unterauftragsverarbeiter sieht der Kunde nach der Anmeldung in Kraltec unter „Abo“ (Administratoren); auf Anfrage an info@kraltec.de teilt der Anbieter sie zudem mit.
Die KI-Funktionen sind Hilfsmittel; Ergebnisse werden dem Nutzer stets zur Prüfung vorgelegt (keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO). Der Kunde entscheidet über die Nutzung und stellt sicher, dass keine Daten übermittelt werden, deren Übermittlung ihm untersagt ist.
5. Pflichten des Anbieters
Verarbeitung nur auf dokumentierte Weisung; Vertraulichkeit der Beschäftigten; Unterstützung bei Betroffenenrechten (Datenexport und Löschung als Self-Service in der Plattform); unverzügliche Meldung von Datenschutzverletzungen; Nachweis-/Auditrechte im gesetzlichen Umfang.
6. Dauer und Löschung
Die Vereinbarung gilt für die Dauer des Nutzungsvertrags. Nach Beendigung werden alle Daten restlos gelöscht; der Kunde hat vorher den Vollexport zu nutzen. Gesetzliche Aufbewahrungspflichten (z. B. § 147 AO) liegen beim Kunden.